Silent Whisper paljastaa viiveistä WhatsAppin ja Signalin aktiivisuuden

Verkossa on ilmestynyt uusi työkalu, joka havainnollistaa Silent Whisper -haavoittuvuutta: sen avulla WhatsAppin ja Signalin käyttäjien aktiivisuutta voi seurata pelkän puhelinnumeron perusteella. Kyse ei ole tilien murtamisesta tai viestien lukemisesta, vaan sovellusten omien teknisten vasteiden tulkinnasta.

Hyökkäys nojaa toimituskuittausten vasteaikojen mittaamiseen. WhatsApp ja Signal vastaavat automaattisesti niin sanottuihin ping‑pyyntöihin, ja hyökkääjä voi analysoida pakettien edestakaista viivettä (RTT). Näistä ajoista on mahdollista päätellä, onko laite aktiivinen, yhdistettynä Wi‑Fiin vai mobiiliverkkoon, horrostilassa vai kokonaan offline. Tekniikka kuulostaa kuivalta, mutta pelkät viiveet voivat kertoa yllättävän paljon siitä, milloin laite on hereillä ja milloin hiljenee.

Wienissä toimivat tutkijat erittelivät Silent Whisperin perusteellisesti jo viime vuonna. Kiinnostus nousi uudelleen, kun GitHubiin ilmestyi käyttäjänimellä gommzystudio julkaistu proof‑of‑concept‑työkalu. Tekijän mukaan pyyntöjä voi lähettää jopa 20 sekunnissa ilman, että kohdelaitteessa näkyy ilmoituksia — tahti, joka riittää piirtämään melko tarkan kuvan ihmisen aktiivisuudesta.

Verkossa on levinnyt myös kuvia analyysikaavioista, jotka näyttävät, miten mittauksia luetaan. Viiveen vaihtelut paljastavat laitteen tilan ja yhteystavan, mikä avaa tien huomaamattomaan seurantaan ilman, että viestien sisältöön kosketaan.

Asiantuntijoiden mukaan haavoittuvuus on yhä ajankohtainen. Perusvarotoimina käyttäjiä kehotetaan rajaamaan viestit tuntemattomilta tileiltä ja pitämään viestisovellukset nopeasti ajan tasalla — käytännöllisiä askelia, jotka auttavat, vaikkeivät ne toistaiseksi poista riskiä kokonaan.